WonderPush schickt Gerätedaten, bevor überhaupt jemand zugestimmt hat
WonderPush ist eigentlich ein unauffälliger Dienst: Push-Benachrichtigungen im Browser, fertig. Datenschutzrechtlich ist es aber kein Selbstläufer – wir haben uns die Verbindungen genauer angeschaut und dabei landest du mit WonderPush bei mehreren konkreten Aufgaben statt bei einem einfachen Häkchen.
Überblick
Was ist WonderPush?
WonderPush ist ein Anbieter für Web-Push-Benachrichtigungen. Besucher deiner Website können sich über den Browser für Nachrichten anmelden und bekommen dann Meldungen direkt auf den Desktop oder das Smartphone geschickt, auch wenn sie deine Seite gerade nicht geöffnet haben.
| WonderPush – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🔴 | WonderPush legt schon beim ersten Seitenaufruf einen Speichereintrag im Browser an – bevor überhaupt eine Zustimmung existiert. |
| Externe Verbindungen | 🔴 | Bei jedem Seitenaufruf wird ein Script von einer eigenen CDN-Domain nachgeladen, zusätzlich gehen Gerätedaten an einen weiteren Server von WonderPush. |
| Datenschutzerklärung | 🔴 | WonderPush braucht einen eigenen Eintrag in deiner Datenschutzerklärung. |
| Drittlandtransfer | 🟢 | Alle Daten bleiben auf Servern in der EU. |
| Auftragsverarbeitung | 🔴 | Du brauchst einen Vertrag mit WonderPush – den gibt es fertig zum Download. |
| Benutzereingaben | 🟢 | WonderPush hat keine Formulare oder Eingabefelder, über die Besucherdaten abfließen. |
| KI-Verarbeitung | 🟢 | WonderPush verarbeitet keine Besucherdaten über eine KI-Funktion. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert mit den Daten deiner Besucher, wenn du WonderPush einbindest?
Sobald jemand deine Seite aufruft, lädt sein Browser automatisch ein Skript von der eigenen CDN-Domain von WonderPush nach – das passiert bei jedem Besucher, unabhängig davon, ob er sich später für Push-Benachrichtigungen anmeldet oder nicht.
Gleichzeitig legt WonderPush im Browser einen Speichereintrag an, der das Gerät wiedererkennbar macht. WonderPush selbst schreibt in der eigenen Dokumentation, dass das eigentlich erst passieren soll, nachdem jemand aktiv die Push-Berechtigung im Browser erteilt hat – bei unserer Prüfung ist genau das aber schon vorher passiert, und zwar inklusive einer Verbindung zu einem weiteren WonderPush-Server, der Gerätedaten wie Systemsprache, Zeitzone und ein zufällig erzeugtes Gerätekürzel entgegennimmt.
Erst wenn ein Besucher tatsächlich zustimmt und Push-Benachrichtigungen abonniert, sammelt WonderPush laufend weitere Daten zu diesem Gerät – etwa wann er zuletzt online war. Positiv: Alle diese Daten landen ausschließlich auf Servern von WonderPush in Brüssel, also innerhalb der EU. WonderPush hat keine weiteren Dienstleister im Ausland eingebunden.
Cookies
Setzt WonderPush Cookies auf meiner Website?
WonderPush setzt keine klassischen Cookies, sondern schreibt stattdessen direkt beim ersten Seitenaufruf einen Eintrag in den lokalen Speicher des Browsers – funktional macht das für deinen Cookie-Banner keinen Unterschied.
Dieser Eintrag speichert ein zufällig erzeugtes Gerätekürzel, mit dem WonderPush das Gerät später wiedererkennt. WonderPush behauptet in der eigenen Dokumentation, so einen Eintrag erst nach erteilter Zustimmung zu setzen – bei unserer Prüfung ist das aber schon beim ersten Aufruf ohne jede Interaktion passiert.
Weil unklar ist, welche Daten dieser Eintrag im Zweifel schon vor einer Zustimmung überträgt, gehört er zu den zustimmungspflichtigen Speichereinträgen: Dein Cookie-Banner muss diesen Eintrag blockieren, bis der Besucher zustimmt.
Externe Verbindungen
Welche externen Verbindungen baut WonderPush auf?
Zwei Verbindungen sind relevant. Erstens lädt jede Seite automatisch ein Skript von der CDN-Domain cdn.by.wonderpush.com – dieses Skript zeigt später den Anmelde-Dialog für Push-Benachrichtigungen an.
Laut der eigenen Dokumentation von WonderPush kannst du die SDK-Dateien alternativ herunterladen und direkt auf deinem eigenen Server ablegen, statt sie über die CDN-Domain von WonderPush zu laden – ein Selbsthosting ist also technisch problemlos möglich. Weil es diese Alternative gibt, ist die externe Verbindung nicht zwingend nötig: Dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt.
Zweitens geht bei jedem Aufruf zusätzlich eine Verbindung zu einem zweiten WonderPush-Server, der Gerätedaten entgegennimmt. WonderPush schreibt in der eigenen Privacy-Policy-FAQ, dass dieser Server erst nach erteilter Zustimmung angesprochen wird – unsere Prüfung zeigt aber, dass die Verbindung bereits vorher aktiv ist. Auch diese Verbindung muss dein Cookie-Banner deshalb blockieren, bis der Besucher zustimmt.
Auftragsverarbeitung
Brauche ich einen Vertrag mit WonderPush?
WonderPush verarbeitet die Gerätedaten deiner Besucher in deinem Auftrag, deshalb brauchst du mit WonderPush SAS einen Vertrag zur Auftragsverarbeitung. WonderPush stellt so ein Vertragsdokument fertig zum Download bereit, du musst also nicht selbst eines aufsetzen oder anfordern – lade es herunter und leg es zu deinen Unterlagen.
Datenschutzerklärung
Muss WonderPush in meine Datenschutzerklärung?
Ja. Weil WonderPush automatisch Verbindungen zu eigenen Servern aufbaut und dabei Gerätedaten überträgt, muss WonderPush namentlich in deiner Datenschutzerklärung stehen.
Wir nutzen WonderPush für Web-Push.
WonderPush setzt beim Laden der Website Cookies bzw. ähnliche Kennungen ein und baut eine Verbindung zu Servern von WonderPush SAS auf. Beides ist nicht technisch notwendig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Im Rahmen der Nutzung von WonderPush werden Daten an WonderPush SAS übermittelt. Soweit WonderPush SAS diese Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Fehler
Welche Fehler kommen bei WonderPush in unseren DSGVO-Checks am häufigsten vor?
WonderPush taucht bei 2 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen WonderPush gefunden wurde.
DSGVO-Check
Warum sich ein eigener DSGVO-Check für deine Website lohnt
Bei WonderPush zeigt sich gut, warum Herstellerangaben allein nicht reichen: WonderPush schreibt in der eigenen Doku, dass vor einer Zustimmung nichts passiert – ein echter Scan deiner Website zeigt aber, ob das auf deiner konkreten Seite tatsächlich so eingebunden ist, statt dich auf ein Versprechen zu verlassen. Ein DSGVO-Check auf datenrein.de prüft genau das direkt an deiner Website, statt dass du jede Verbindung und jeden Speichereintrag selbst nachvollziehen musst.
Und jeder Scan hilft nicht nur dir: Die dabei gefundenen echten Signale ordnen wir bekannten Tools zu oder nehmen sie als neuen Fall in die Recherche auf – dadurch erkennt datenrein.de mit der Zeit immer mehr Tools zuverlässig, wovon am Ende jeder Website-Betreiber profitiert, der danach scannt.
